Acciones, recursos y claves de condición para AWS CloudTrail
AWS CloudTrail (prefijo de servicio: cloudtrail) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para usarse en las políticas de permisos de IAM.
Referencias:
-
Obtenga información para configurar este servicio.
-
Vea una lista de las operaciones de API disponibles para este servicio.
-
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.
Temas
Acciones definidas por AWS CloudTrail
Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.
La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.
La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.
nota
Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.
Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.
| Acciones | Descripción | Nivel de acceso | Tipos de recursos (*necesarios) | Claves de condición | Acciones dependientes |
|---|---|---|---|---|---|
| AddTags | Concede permiso para agregar una o más etiquetas a un seguimiento, almacén de datos de eventos o canal, hasta un máximo de 50 | Etiquetado | |||
| CancelQuery | Concede permiso para cancelar una consulta en ejecución | Escritura | |||
| CreateChannel | Da permiso para crear un canal. | Escritura |
cloudtrail:AddTags |
||
| CreateEventDataStore | Concede permiso para crear un almacén de datos de eventos | Escritura |
cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization |
||
| CreateServiceLinkedChannel [solo permiso] | Concede permiso para crear un canal vinculado a un servicio que especifique la configuración de entrega de datos de registro a un servicio AWS | Escritura | |||
| CreateTrail | Da permiso para crear un registro de seguimiento que especifique la configuración de entrega de datos de registro a un bucket de Amazon S3. | Escritura |
cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization |
||
| DeleteChannel | Da permiso para eliminar un canal. | Escritura | |||
| DeleteEventDataStore | Concede permiso para eliminar almacén de datos de eventos | Escritura | |||
| DeleteResourcePolicy | Otorga permiso para eliminar la política de recursos de un recurso proporcionado | Escritura | |||
| DeleteServiceLinkedChannel [solo permiso] | Concede permiso para eliminar un canal vinculado a un servicio | Escritura | |||
| DeleteTrail | Da permiso para eliminar un registro de seguimiento. | Escritura | |||
| DeregisterOrganizationDelegatedAdmin | Otorga permiso para anular el registro de una cuenta de miembro de AWS Organizations como administrador delegado | Escritura |
organizations:DeregisterDelegatedAdministrator organizations:ListAWSServiceAccessForOrganization |
||
| DescribeQuery | Concede permiso para enumerar los detalles de la consulta | Leer | |||
| DescribeTrails | Da permiso para enumerar la configuración de los registros de seguimiento asociados a la región actual de la cuenta. | Leer | |||
| DisableFederation | Otorga permiso para deshabilitar la federación de los datos del almacén de datos de eventos mediante el catálogo de datos AWS Glue | Escritura |
glue:DeleteDatabase glue:DeleteTable glue:PassConnection lakeformation:DeregisterResource lakeformation:RegisterResource |
||
| EnableFederation | Otorga permiso para habilitar la federación de los datos del almacén de datos de eventos mediante el catálogo de datos de AWS Glue | Escritura |
glue:CreateDatabase glue:CreateTable iam:GetRole iam:PassRole lakeformation:DeregisterResource lakeformation:RegisterResource |
||
| GenerateQuery | Concede permiso para generar una consulta para un almacén de datos de eventos especificado mediante el generador de consultas de CloudTrail Lake | Escritura | |||
| GetChannel | Concede permiso para devolver información acerca de un canal específico | Leer | |||
| GetEventDataStore | Concede permiso para enumerar las configuraciones para el almacén de datos de eventos | Leer | |||
| GetEventDataStoreData | Otorga permiso para obtener datos de un banco de datos de eventos mediante el catálogo de datos de AWS Glue | Leer |
kms:Decrypt kms:GenerateDataKey |
||
| GetEventSelectors | Da permiso para obtener una lista de selectores de eventos configurados para un registro de seguimiento. | Leer | |||
| GetImport | Concede permiso para devolver información acerca de una importación específica | Leer | |||
| GetInsightSelectors | Concede permiso para enumerar selectores de CloudTrail Insights configurados para un seguimiento o almacenamiento de datos de eventos | Leer | |||
| GetQueryResults | Concede permiso para obtener los resultados de una consulta completa | Leer |
kms:Decrypt kms:GenerateDataKey |
||
| GetResourcePolicy | Otorga permiso para obtener la política de recursos asociada al recurso proporcionado | Leer | |||
| GetServiceLinkedChannel [solo permiso] | Concede permiso para enumerar los ajustes del canal vinculado a un servicio | Leer | |||
| GetTrail | Concede permiso para enumerar la configuración de la pista | Read | |||
| GetTrailStatus | Da permiso para recuperar una lista con formato JSON de información sobre el registro de seguimiento especificado. | Leer | |||
| ListChannels | Concede permiso para enumerar los canales de la cuenta actual y sus nombres de origen | Enumeración | |||
| ListEventDataStores | Concede permiso para enumerar los almacenes de datos de eventos asociados a la región actual de la cuenta | Enumeración | |||
| ListImportFailures | Concede permiso para devolver una lista de errores de la importación especificada | Leer | |||
| ListImports | Concede permiso para devolver información sobre todas las importaciones o un conjunto seleccionado de importaciones por ImportStatus o Destination | Enumeración | |||
| ListPublicKeys | Da permiso para obtener una lista de las claves públicas cuyas claves privadas se hayan utilizado para firmar los archivos de resumen de seguimiento dentro de un intervalo de tiempo especificado. | Leer | |||
| ListQueries | Concede permiso para enumerar las consultas asociadas con un almacén de datos de eventos | Enumeración | |||
| ListServiceLinkedChannels [solo permiso] | Concede permiso para enumerar los canales vinculados a un servicio asociados a la región actual de una cuenta especificada | Enumeración | |||
| ListTags | Otorga permiso para enumerar las etiquetas de seguimientos, almacenes de datos de eventos o canales en la región actual | Leer | |||
| ListTrails | Da permiso para enumerar los registros de seguimiento asociados a la región actual de la cuenta. | Enumeración | |||
| LookupEvents | Concede permiso para buscar y recuperar datos métricos de eventos de actividad de API capturados por CloudTrail que crean, actualizan o eliminan recursos en la cuenta | Leer | |||
| PutEventSelectors | Da permiso para crear y actualizar selectores de eventos para un registro de seguimiento. | Escritura | |||
| PutInsightSelectors | Concede permiso para crear y actualizar selectores de CloudTrail Insights para un seguimiento o almacenamiento de datos de eventos | Escritura | |||
| PutResourcePolicy | Otorga permiso para adjuntar una política de recursos a un recurso proporcionado. | Escritura | |||
| RegisterOrganizationDelegatedAdmin | Otorga permiso para registrar una cuenta de miembro de AWS Organizations como administrador delegado | Escritura |
iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization organizations:RegisterDelegatedAdministrator |
||
| RemoveTags | Otorga permiso para eliminar etiquetas de seguimiento, almacenamiento de datos de eventos o canal | Etiquetado | |||
| RestoreEventDataStore | Concede permiso para restaurar un almacén de datos de eventos | Escritura | |||
| StartEventDataStoreIngestion | Concede permiso para iniciar la ingesta en un almacén de datos de eventos | Escritura | |||
| StartImport | Concede permiso para iniciar una importación de eventos de seguimiento registrados desde un bucket de S3 de origen a un almacén de datos de eventos de destino | Escritura | |||
| StartLogging | Concede permiso para comenzar a grabar las llamadas a la API de AWS y la entrega de los archivos de registro para un seguimiento | Escritura | |||
| StartQuery | Concede permiso para iniciar una nueva consulta en almacén de datos de eventos especificado | Escritura |
kms:Decrypt kms:GenerateDataKey |
||
| StopEventDataStoreIngestion | Concede permiso para detener la ingesta en un almacén de datos de eventos | Escritura | |||
| StopImport | Concede permiso para detener una importación especificada | Escritura | |||
| StopLogging | Concede permiso para detener la grabación de las llamadas a la API de AWS y la entrega de los archivos de registro para un seguimiento | Escritura | |||
| UpdateChannel | Da permiso para actualizar un canal. | Escritura | |||
| UpdateEventDataStore | Concede permiso para actualizar un almacén de datos de eventos | Escritura |
iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization |
||
| UpdateServiceLinkedChannel [solo permiso] | Concede permiso para actualizar la configuración del canal vinculado al servicio para la entrega de datos de registro a un servicio de AWS | Escritura | |||
| UpdateTrail | Da permiso para actualizar la configuración que especifica la entrega de los archivos de registro. | Write |
iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization |
Tipos de recursos definidos por AWS CloudTrail
Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.
nota
Para las políticas que controlan el acceso a las acciones de CloudTrail, el elemento Resource siempre está establecido en "*". Para obtener más información sobre el uso de ARN de recursos en una política de IAM, consulte Cómo AWS CloudTrail funciona con IAM en la Guía del usuario de AWS CloudTrail.
| Tipos de recurso | ARN | Claves de condición |
|---|---|---|
| trail |
arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}
|
|
| eventdatastore |
arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}
|
|
| channel |
arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}
|
Claves de condición para AWS CloudTrail
AWS CloudTrail define las siguientes claves de condiciones que se pueden utilizar en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.
Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.
| Claves de condición | Descripción | Tipo |
|---|---|---|
| aws:RequestTag/${TagKey} | Filtra el acceso por los pares clave-valor de la etiqueta en la solicitud | Cadena |
| aws:ResourceTag/${TagKey} | Filtra el acceso por las etiquetas asociadas a un recurso | Cadena |
| aws:TagKeys | Filtra el acceso por las claves de etiqueta en una solicitud | ArrayOfString |
